Sir-celin simmitri ah iyo mid fure dadweyne ku shaqeeya VPN: mid kastaa maxuu qabtaa

Dadku waxay VPN ku tilmaamaan „kan isticmaala sir-celinta fure dadweyne“ ka dibna waxay qiyaasaan in baakad kastaa uu ku xidhan yahay shahaadada serverka. Sawirkani waa khalad si muhiim u ah marka aad akhrinayso fayl habayn ama duubis baakado. Qaybta fure dadweyne ee VPN waxay ku saabsan tahay caddaynta cidda lammaanaha tahay iyo heshiiska maaddo qarsoodi ah; qaybta simmitriga ah waa tan dhab ahaan ilaaliso socodka, baakad ka dib baakad, inta uu fadhigu socdo.

Labada qaybood waxay leeyihiin cimri, habab guuldarro iyo waxyaabo si ammaan ah loo daabici karo oo kala duwan. Marka aad kala soocdo, su'aalaha sida „RSA 2048 ma ka daciifsan tahay AES-128“ way joojiyaan jahawareerka, sababtoo ah weligood lama barbar dhigi karin.

Saddex hawlood oo la isku daro

Kriptografi fure dadweyne waa dallad ka sarreysa ugu yaraan saddex hawlood oo kala duwan. Saxiix wuxuu caddeeyaa in milkiilaha furaha gaarka ah uu ansixiyay fariin gaar ah. Heshiiska furaha wuxuu u oggolaanayaa laba dhinac inay ka soo saaraan sir wadaag ah qiyamka ay si cad u kala qaataan. Sir-celinta fure dadweyne waxay xogta ku qarisaa furaha dadweyne ee qof, sidaas darteed kaliya furaha gaarka ah ayaa furi kara.

Gacan-qaadista VPN waxay inta badan isticmaashaa labada hore. Shahaadadu ma aha fure sir-celin; waa bayaan saxiixan oo magaca ku xidha fure dadweyne oo u oggolaanaya dhinaca kale inuu go'aansado inuu aammino furaha hadda helay. Tusaale ahaan, dhismaha furayaasha TLS 1.3 wuxuu ku salaysan yahay heshiiska furaha (EC)DHE iyo saxiixyada shahaadada, ma aha sir-celinta fadhiga furaha dadweyne ee serverka.

Waxa gacan-qaadistu dhab ahaan soo saarto

Gacan-qaadis casri ah, dhinac kastaa wuxuu sameeyaa lammaane fure ku meel gaar ah, wuxuu isweydaarsadaa qaybaha dadweyne oo xisaabiyaa sir wadaag ah oo aan waligiis siligga ka gudbin. Sirtaas ka dib waxay maraa hawl soo-saarid fure si loo sameeyo furayaal gooni ah jiho kasta, iyo nonce-yada iyo maaddada IV ee lakabka diiwaanku u baahan yahay. WireGuard waxay tan ku samaysaa dhismaha Noise ku salaysan; TLS 1.3 waxay ku samaysaa HKDF oo ku saabsan qoraalka gacan-qaadista.

Aqoonsiga muddada dheer — shahaado iyo fure gaar ah, ama fure WireGuard taagan — wuxuu xaqiijiyaa isweydaarsigaas. Wuxuu saxiixaa qoraalka ama ku dhex milmaa, sidaas darteed shisheeye kama dhammayn karo gacan-qaadista meesha lammaanaha. Ka dib aqoonsigu shaqo kuma sameeyo baakad kasta. Haddii uu sameeyo, baakad kastaa wuxuu u baahan lahaa hawl fure gaar ah, tunnell mashquul ahna waxaa xaddidi lahaa hawsha ugu gaabis ah ee stack-ka.

Waxaa ka yimaada laba saameyn oo dhinac ah. Marka hore, furayaasha fadhigu waa cusub yihiin mar kasta, sidaas darteed weeraryahan hadhow xada furaha muddada dheer ma furi karo fadhiyadii hore loo duubay, haddii heshiisku ku meel gaar ahaa. Marka labaad, fure fadhi oo daatay wuxuu hal fadhi khatar geliyaa, ma aha aqoonsiga.

Sababta xogta badan ay u isticmaasho furayaal simmitri ah

Sir-celinta simmitriga ah waxay si wanaagsan u maareysaa mugga: AES-GCM ama ChaCha20-Poly1305 waxay baakad kasta ku farsameeyaan fure hore ugu jira xusuusta, waxay xaqiijiyaan madaxa oo kordhiyaan tiriyaha. Dhinaca qaata wuxuu hubiyaa nonce iyo sumadda xaqiijinta oo tuuraa wax kasta oo guuldarraysta ama soo noqnoqda. Tan waa mid ku filan jaban in lagu shaqeeyo xawaaraha khadka qalab caadi ah, isla dhismahaasna wuxuu bixiyaa qarsoodi iyo daacadnimo hal mar.

Dhismuhu sidoo kale waa meesha ay ku nool yihiin khaladaadka fulinta intooda badan. Nonce soo noqnoqda GCM wuxuu jebiyaa qarsoodiga iyo saxnaanta isku mar, sidaas darteed borotokooladu waxay soo saaraan furayaal jiho kasta oo hayaan tiriye ama xilli cad. Haddii aad akhrinayso duubis baakado oo dhererka qoraalka siran uu la mid yahay qoraalka cad oo lagu daray dheeraad go'an, markaas lakabka simmitriga ah ayaa shaqeynaya, ma aha hawl fure dadweyne baakad kasta.

Cimri, cusboonaysiinta furaha iyo qarsoodiga hore

Furayaasha fadhigu waa inay dhamaadaan. TLS 1.3 waxay u oggolaanaysaa farriinta KeyUpdate inay rogrogo furayaasha socodka; WireGuard waxay cusboonaysiisaa fadhi ka dib waqti ama tiro farriin ah oo la habeeyay oo kii hore waxyar u hayaa baakadaha jidka ku jira. OpenVPN waxay dib uga wada hadashaa furayaasha kanaalka xogta ee ay leedahay sida jadwalka, reneg-sec ayaa kontoroola muddada.

Mid ka mid ah rogroggyadaas ma aha isku mid la mid ah cusboonaysiinta shahaadada. Shahaadadu sanad ayay ansax noqon kartaa inta furayaasha fadhigu badhimaan dhowr daqiiqo kasta, shahaadadana waa la beddeli karaa iyada oo aan taaban furayaasha tunnellka socda. Marka aad qorshaynayso dhicidda, weydii walxaha aad rogrogayso; jawaabtu waxay go'aamisaa in macaamiishu dib u xirmi doonaan ama kaliya cusboonaysiin doonaan furayaasha.

Akhriska habaynta iyo baaritaanka iyada oo aan walxaha la isku darin

Ficil ahaan waxaad doorataa borotokool buuxa iyo aasaasihiisa la taageero, kuma aad dhisato midkaaga. Furaha --tls-crypt ee OpenVPN wuxuu ilaaliyaa kanaalka kontoroolka; kanaalka xogtu wuxuu isticmaalaa sir-celin simmitri ah oo la wada hadlay. Gelitaanka PrivateKey iyo PublicKey ee WireGuard waa maaddo aqoonsi, halka furayaashiisa gaadiidka laga soo saaro gudaha. Akhriska goobahaas sida isla nooc sir ah waxay u horseedaa khaladaad sida ku dhejinta fure dadweyne meesha fure gaar ah ku habboon yahay.

Maaddada dadweyne ka sooc tan gaarka ah. Shahaado, fure dadweyne WireGuard iyo farqiga faraha waa ammaan in lagu wadaago tikit. Fure gaar ah, fure hore loo wadaagay iyo fure fadhi oo la dhoofiyay ma aha. Marka aad barbar dhigayso awoodda, ku barbar dhig hal nooc gudihiis: aqoonsiga qalooca elliptical, cabbirka modulus RSA iyo cabbirka furaha AES waxay cabbiraan waxyaabo kala duwan marka la eego malo kala duwan. Qeexitaanka TLS 1.3 waa tixraac faa'iido leh oo ku saabsan sida labada lakab isugu yimaadaan, xitaa marka tunnellkaagu uusan TLS ahayn.